La política de seguridad de la información es el documento en el que una organización recoge cómo protege los datos que maneja: quién puede acceder a qué, cómo se guardan, cómo se cifran y qué se hace cuando algo falla. No es un trámite burocrático ni un anexo que se firma y se archiva: es la traducción práctica de una obligación legal del RGPD. Esta guía explica qué es, cómo se conecta con la normativa de protección de datos, qué debe cubrir y cómo se estructura de verdad en una empresa.
En 15 segundos
- Es el documento que recoge las medidas de seguridad de una organización sobre los datos que trata.
- Materializa el art. 32 RGPD (seguridad del tratamiento) y el principio de integridad y confidencialidad del art. 5.1.f.
- Combina siempre medidas técnicas (cifrado, copias, accesos) y organizativas (contraseñas, formación, protocolos).
- No se rige por auditorías de fecha fija, sino por evaluación continua basada en el riesgo.
¿Qué es una política de seguridad de la información?
Una política de seguridad de la información es el documento interno donde una organización define cómo protege los datos y los sistemas que utiliza para tratarlos. Establece las reglas de acceso, las medidas técnicas aplicadas, las responsabilidades del personal y los procedimientos ante incidentes. Dicho de forma simple: es el manual de cómo la empresa custodia la información que le confían sus clientes, empleados y proveedores.
Conviene distinguirla de otros documentos con los que a veces se confunde. La política de privacidad es un texto público, dirigido a los interesados, que informa de qué datos se tratan y con qué fines (deber de información del art. 13 RGPD). La política de seguridad de la información es lo contrario: es interna, no se publica, y describe las medidas concretas que hacen posible que esos datos estén protegidos. Una mira hacia afuera; la otra, hacia adentro.
Su función real no es tener un PDF que enseñar si alguien lo pide. Es fijar por escrito, de forma coherente, cómo se comporta la organización con la información: qué está permitido, qué no, quién responde de cada pieza y qué se hace cuando algo se rompe. Sin ese marco, cada empleado improvisa y la seguridad depende de la costumbre en lugar de una regla común.
Su relación con el RGPD
La política de seguridad de la información no nace de un capricho organizativo: es la forma habitual de cumplir varias obligaciones concretas del RGPD. El reglamento no impone un documento con ese nombre exacto, pero sí exige el resultado que ese documento persigue.
El pilar es el art. 32 RGPD, sobre seguridad del tratamiento. Obliga al responsable y al encargado a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. La palabra clave es apropiadas al riesgo: no hay una lista cerrada e igual para todos. Lo que es suficiente para una consulta con dos empleados no lo es para una plataforma que trata datos de miles de personas. El propio art. 32 menciona, entre las medidas posibles, el cifrado y la seudonimización, la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restaurar el acceso a los datos tras un incidente, y un proceso de verificación y evaluación de la eficacia de esas medidas.
Esa obligación técnica se apoya en un principio más general. El art. 5.1.f RGPD establece el principio de integridad y confidencialidad: los datos deben tratarse de forma que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida o destrucción accidental. La política de seguridad es, precisamente, la manera de aterrizar ese principio a medidas concretas.
Y hay un tercer eje que suele olvidarse: la responsabilidad proactiva del art. 5.2 RGPD, reforzada por el art. 24, que obliga al responsable no solo a aplicar medidas, sino a poder demostrar que las aplica. Una política de seguridad escrita, revisada y coherente con la actividad real es una de las principales pruebas de esa diligencia. No basta con estar protegido: hay que poder acreditarlo.
Marcos de referencia. Más allá del RGPD, existen estándares que ayudan a estructurar estas medidas: la ISO/IEC 27001, norma internacional para sistemas de gestión de la seguridad de la información, y el Esquema Nacional de Seguridad (ENS), marco obligatorio para el sector público español y sus proveedores. Son referencias válidas para ordenar el trabajo, pero no sustituyen al análisis propio: el RGPD mide la adecuación de las medidas al riesgo del tratamiento concreto, no la posesión de una certificación.
Qué debe cubrir la política
No existe una plantilla universal, porque el contenido depende del riesgo de cada organización. Pero sí hay un conjunto de bloques que una política de seguridad de la información bien construida debería abordar en casi cualquier empresa. Estos son los principales.
Control de accesos por rol
Cada persona debe acceder únicamente a los datos que necesita para su función, y no a más. Esto se traduce en perfiles de acceso definidos por rol, altas y bajas de permisos cuando alguien entra o sale de la empresa, y registro de quién accede a qué (logs). El principio de mínimo privilegio es la columna vertebral de toda la política: la mayoría de los incidentes internos nacen de accesos excesivos que nadie revisó.
Contraseñas y autenticación
Contraseñas individuales (nunca compartidas entre personas), robustas y renovadas ante cualquier sospecha de compromiso. Siempre que sea posible, segundo factor de autenticación en los accesos críticos. Una política clara aquí evita el escenario más común: la contraseña única del despacho pegada en un pósit bajo el teclado.
Cifrado
Cifrado de los dispositivos que salen de la oficina (portátiles, discos externos, móviles corporativos) y de las comunicaciones y archivos sensibles. El cifrado es la medida que convierte la pérdida de un portátil en un susto en lugar de una brecha de datos: si el disco está cifrado, quien lo encuentra no accede a nada.
Copias de seguridad
Copias periódicas, verificadas y almacenadas de forma que sobrevivan a un incidente (idealmente con una copia aislada del sistema principal). La clave no es solo hacer copias, sino comprobar que se pueden restaurar: una copia que nadie ha probado a recuperar es una copia que puede no existir el día que hace falta.
Gestión de dispositivos
Reglas sobre qué equipos pueden tratar datos de la organización, actualización del software y los sistemas operativos, bloqueo automático de pantallas y control de los dispositivos personales si se usan para trabajar. Un equipo desactualizado es una puerta abierta que la política debe cerrar con procedimientos claros.
Teletrabajo
Condiciones de seguridad para el trabajo fuera de la oficina: conexiones seguras, prohibición de usar redes públicas sin protección, custodia de la documentación en el domicilio y separación entre el entorno profesional y el personal. El teletrabajo amplía el perímetro de la empresa y la política tiene que acompañarlo, no ignorarlo.
Formación del personal
La mejor medida técnica falla si quien la usa no la entiende. La política debe prever formación práctica: cómo detectar un correo de phishing, por qué no se envían datos sensibles por canales personales, cómo se gestiona una incidencia. La seguridad es un hábito colectivo, no un software.
Gestión de brechas de seguridad
Un protocolo interno que defina qué es una brecha, a quién se comunica dentro de la empresa, cómo se documenta y cómo se valora si procede notificarla. El RGPD contempla, con carácter general, la notificación a la autoridad de control en un plazo orientativo de 72 horas cuando la brecha suponga un riesgo para los derechos de las personas (art. 33 RGPD), y la comunicación a los afectados cuando el riesgo sea alto (art. 34). Tener el protocolo escrito de antemano evita improvisar en el peor momento.
Medidas técnicas y medidas organizativas
El art. 32 RGPD habla siempre de medidas técnicas y organizativas, en plural y en conjunto. No es una fórmula retórica: son dos familias distintas que se necesitan mutuamente. Las técnicas actúan sobre los sistemas; las organizativas, sobre las personas y los procedimientos. Una política que solo cuida una de las dos deja la puerta entreabierta.
La distinción es fácil de ver con ejemplos. El cifrado de un disco es una medida técnica; la norma interna que obliga a cifrar todo portátil que salga de la oficina es organizativa. El sistema de copias automáticas es técnico; el procedimiento que asigna a una persona la responsabilidad de verificar que las copias funcionan es organizativo. La tabla siguiente ordena las principales.
| Medidas técnicas | Medidas organizativas |
|---|---|
| Cifrado de dispositivos y comunicaciones | Política de contraseñas individuales |
| Control de accesos por rol (mínimo privilegio) | Deber de confidencialidad del personal |
| Copias de seguridad verificadas | Procedimiento de verificación de copias |
| Bloqueo automático de pantallas | Formación y concienciación del equipo |
| Actualización de sistemas y antivirus | Reglas de teletrabajo y uso de dispositivos |
| Registro de accesos (logs) | Protocolo de gestión de brechas |
El error más frecuente es tratar la seguridad como un problema exclusivamente informático. Se compra el mejor antivirus y el mejor cortafuegos, y se olvida que el eslabón que más falla no es la máquina, sino la rutina: la contraseña compartida, el correo abierto sin mirar, el portátil sin cifrar en el maletero del coche. Las medidas organizativas son las que convierten la tecnología en protección real.
"La seguridad de la información no se compra con una licencia de antivirus. Se construye con reglas claras que la gente entiende y cumple cada día. Una política que nadie ha leído no protege a nadie; solo sirve para enseñarla cuando ya es tarde."
Mario P. Talamillo · Socio director, Certix®
Evaluación continua basada en el riesgo
Una de las confusiones más extendidas es pensar que la seguridad se resuelve con una auditoría anual: se revisa todo en enero, se firma un informe y se olvida el asunto hasta el año siguiente. El RGPD no funciona así. El art. 32.1.d plantea un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas. La palabra importante es proceso: algo continuo, no un evento con fecha.
El enfoque correcto es la evaluación continua basada en el riesgo. La política se revisa cuando cambia algo que afecta al riesgo, no cuando lo marca el calendario. Estos son los disparadores habituales de una revisión:
- Se incorpora un software o proveedor nuevo que trata datos de la organización.
- Se abre una nueva modalidad de trabajo (teletrabajo, dispositivos personales, una nueva sede).
- Se empieza a tratar un tipo de dato distinto o un volumen mucho mayor.
- Se produce un incidente de seguridad, aunque no haya llegado a mayores.
- Cambia la estructura del equipo: nuevas incorporaciones, salidas, cambios de rol con sus accesos asociados.
Esto no significa que no haya revisiones periódicas: significa que una fecha fija en el calendario es el mínimo, no el sistema. Fiar toda la seguridad a una auditoría anual y desentenderse los otros once meses es exactamente el escenario que la responsabilidad proactiva trata de evitar. Una política viva se ajusta al ritmo real del negocio, porque el riesgo también cambia a ese ritmo.
Checklist de una política sólida
Para bajar todo lo anterior a algo accionable, esta es una lista de control con los elementos que una política de seguridad de la información debería tener resueltos. No es exhaustiva —cada organización añade lo suyo según su riesgo— pero sirve como punto de partida.
- ✔ Accesos por rol definidos, con altas y bajas al entrar o salir personal.
- ✔ Contraseñas individuales y segundo factor en accesos críticos.
- ✔ Cifrado de portátiles, dispositivos extraíbles y comunicaciones sensibles.
- ✔ Copias de seguridad periódicas y probadas de restauración.
- ✔ Bloqueo de pantallas y actualización de sistemas como rutina.
- ✔ Reglas de teletrabajo escritas y conocidas por el equipo.
- ✔ Formación básica en seguridad para todo el personal.
- ✔ Protocolo de brechas con responsables y plazos claros.
- ✔ Deber de confidencialidad firmado por quien accede a datos.
- ✔ Contratos del art. 28 RGPD con los proveedores que tratan datos por cuenta de la empresa.
- ✔ Revisión de la política ligada a los cambios reales del negocio, no solo a una fecha.
Cómo Certix la elabora y la mantiene
Una política de seguridad copiada de una plantilla genérica tiene un problema de fondo: describe medidas que la empresa quizá no aplica y omite las que de verdad necesita. Y como el art. 32 RGPD exige que las medidas sean apropiadas al riesgo, una plantilla que no parte del riesgo real no cumple su función, por muy completa que parezca.
En Certix elaboramos la política de seguridad de la información a partir de un análisis real de tu organización: qué datos tratas, con qué sistemas, quién accede a ellos y qué proveedores intervienen. Sobre ese mapa se definen las medidas técnicas y organizativas que corresponden a tu nivel de riesgo, se documentan conforme al art. 32 RGPD y se conectan con el resto del trabajo de privacidad, desde el Registro de Actividades de Tratamiento hasta los contratos con encargados.
Y la mantenemos al día. Cuando incorporas una herramienta, cambias de proveedor o abres una modalidad de teletrabajo, la política se revisa para seguir reflejando cómo proteges la información de verdad. Puedes ver el marco completo en nuestra guía del RGPD o hablar directamente con un consultor sobre tu caso.
Preguntas frecuentes
¿Es obligatoria una política de seguridad de la información?
El RGPD no exige un documento con ese nombre exacto, pero sí obliga al responsable a aplicar medidas técnicas y organizativas apropiadas al riesgo (art. 32 RGPD) y a poder demostrar que lo hace (art. 5.2, responsabilidad proactiva). En la práctica, redactar esas medidas en una política de seguridad de la información es la forma habitual de cumplir esa obligación y de evidenciarla. No es un formalismo opcional: es el soporte documental de una obligación legal real.
¿Qué diferencia hay entre medidas técnicas y organizativas?
Las medidas técnicas actúan sobre los sistemas: cifrado, copias de seguridad, control de accesos por rol, antivirus o el bloqueo automático de pantallas. Las organizativas actúan sobre las personas y los procedimientos: política de contraseñas, formación del personal, deber de confidencialidad, protocolo de gestión de brechas o reglas para el teletrabajo. El art. 32 RGPD exige ambas de forma conjunta: una sin la otra deja huecos, porque el mejor cifrado no protege si el personal no sabe usarlo.
¿Cada cuánto hay que revisar la política de seguridad?
No existe una periodicidad fija impuesta por la norma. El art. 32.1.d RGPD plantea un proceso de verificación y evaluación de la eficacia de las medidas, y el enfoque correcto es la evaluación continua basada en el riesgo: la política se revisa cada vez que cambia algo relevante (un software nuevo, un proveedor, una modalidad de teletrabajo, un incidente) y no solo en una fecha marcada. Fijar una revisión anual rígida y desentenderse el resto del año es precisamente lo que la norma trata de evitar.
¿La ISO 27001 o el ENS sustituyen a la política de seguridad del RGPD?
No la sustituyen, pero son marcos de referencia muy útiles. La ISO/IEC 27001 es un estándar internacional para sistemas de gestión de la seguridad de la información y el Esquema Nacional de Seguridad (ENS) es el marco obligatorio para el sector público y sus proveedores. Ambos ayudan a estructurar las medidas del art. 32 RGPD, pero el cumplimiento del RGPD se mide por la adecuación de las medidas al riesgo del tratamiento concreto, no por tener una certificación. Certificarse suma; no exime del análisis propio.
En resumen
La política de seguridad de la información es la pieza que convierte un principio del RGPD —la integridad y confidencialidad del art. 5.1.f— en medidas concretas que protegen los datos día a día. No es un documento para archivar, sino el marco de reglas que hace que la seguridad no dependa de la improvisación. Debe combinar medidas técnicas y organizativas apropiadas al riesgo (art. 32), poder demostrarse (art. 5.2 y 24) y revisarse según cambia el negocio, no según el calendario. Si quieres saber si la tuya refleja cómo proteges de verdad la información, el paso siguiente es un análisis individualizado de tu organización.
Lecturas relacionadas
- Guía completa del RGPD — el marco normativo del que nacen las medidas de seguridad.
- Registro de Actividades de Tratamiento (RAT) — el documento donde se describen, tratamiento por tratamiento, las medidas de seguridad aplicadas.
- Consultoría de protección de datos de Certix — cómo encaja la política de seguridad en el trabajo de consultoría.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.
¿Tu política de seguridad refleja cómo proteges de verdad la información?
En Certix elaboramos y mantenemos al día tu política de seguridad de la información a partir de un análisis real de tu actividad y su nivel de riesgo.
Hablar con un consultor